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DISPOSIT1F DE SECURITE ACTIF A MEMOIRE E LECTRON1 QUE. 

(57) La presente invention concern e un dtsposhif de secu- 
ms con tenant des informations secretes, du type compre- 
nant une zone memoire d'un circuit integre recevant lesdi- 
tes Informations et des moyens de protection recouvrant 
solidairement au moins la zone memoire. Les moyens de 
protections sont constitues par au moins un second circuit 
integre (2). Le dispositif comprend en outre des moyens de 
liaison (9, 9') interactifs entre les deux circuits integres, et . 
des moyens de destruction des informations secretes en 
cas de rupture ou perturbation de la liaison. 
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DISPOSITIF DE SECT7RXTE ACT IP A MEMOIRS ELECTKOHXQUB 

La presente invention conceme un dispositif de 
securite a memoire electronique destine a la protection 
d ' informations secretes contenues dans la memoire. 

De tels dispositifs sont presents notamment dans 
des terminaux de paiement portables, a l'interieur d'un 
module electronique dit de securite applicative (SAM) . Ces 
modules sont d'une importance cap it ale car ils contiennent 
des informations secretes (exemple : cles bancaires) dont 
la decouverte permettrait I'acces a 1' ensemble d'un 
systeme . 

Les informations se trouvent necessairement dans 
une couche electronique d'un circuit integre. Dne couche de 
passivation recouvre generalement la couche electronique. 

Dans certains cas, il est possible qu'elle ne soit 
pas un obstacle suffisant a I'acces aux informations 
secretes, si des moyens de lecture sophist iques sont mis en 
oeuvre pour lire les informations a travers la couche de 
passivation. Ces moyens de lecture peuvent par exemple 
mettre en oeuvre des techniques exploratoires du type a 
faisceaux de particules. 

Parmi les techniques existantes destinees a 
proteger ces informations, on connait celle qui consiste a 
recourir a des capteurs d' intrusion traditionnels qui 
protegent une enceinte dans laquelle est enfermee la 
memoire electronique contenant les informations. 

On connait egalement des moyens protegeant 
directement le circuit integre contre une lecture a l'aide 
de moyens sophistiques. Ces moyens sont de deux types : le 
premier consiste a masquer le dessin du semi-conduct eur, 
par exemple par metallisation, grille de faux circuits ou 
couche de carbone diamant ; le second consiste a memoriser 
les informations dans une memoire du type RAM et a les 
combiner eventuellement avec des n ombres aleatoires 
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modifies en permanence. Les informations ne sont 
accessibles que par 1 • intermediate d'un systeme 
d 1 exploitation qui en controle l'acces. Les principes 
utilises sont identiques a ceux des cartes a 
3 microprocesseur. Selon ce second type, les secrets contenus 
dans une memoire RAM sont systematiquement perdus si 
1* alimentation du composant est interrompue. Dans ce cas, 
l'acces aux informations n'est pas totalement insurmontable 
si on connait : 

10 - la maniere d'eliminer la resine du boztier du composant 
sous tension, sans creer un court circuit ce qui 
entrainerait la perte des informations, 
- le schema exact du composant, 

la table de "brouillage" de la memoire, 
15 - 1'adresse des secrets dans le plan memoire, 

et la maniere d ' enregistrer et d' analyser correctement 
le bus d'adr esses et de donnees en temps reel. 

Les differentes techniques anterieures ci-dessus 
ont 1' inconvenient d'etre soit inefficaces si des moyens 
tres sophist iques sont mis en oeuvre, soit d'etre onereuses 
dans le cas notamment de 1 'utilisation de masques au 
carbone diamant. 

La presente invention a pour but de fournir un 
dispositif electronique de securite dont l'efficacite est 
amelioree et dont la realisation est en outre compatible 
avec des procedes de fabrication standardises. 

A cet effet, la presente invention a pour objet un 
dispositif de securite contenant des informations secretes 
et destine a empecher l'acces a ces informations par des 
moyens d • exploration extemes, du type comprenant une zone 
memoire d'un circuit integre recevant lesdites informations 
et des moyens de protection recouvrant solidairement au 
moins ladite zone memoire de maniere a former obstacle a 
une exploration caracterise en ce que lesdits moyens de 
protections sont constitute par au moins un second circuit 
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integre, et en ce qu'il comprend en outre des moyens de 
liaison interactifs entre les deux circuits integres, et 
des moyens de destruction des informations secretes en cas 
de rupture ou de perturbation de leur liaison. 
5 Selon une caracteristique de 1' invention, le dispo- 

sitif comprend des moyens d'authentif ication permettant 
d • authentif ier au moins le second circuit integre. 

Selon un premier mode de realisation de 1 • inven- 
tion, les circuits integres sont montes l'un derriere 
10 1 • autre et comport ent des connexions electriques externes 
les reliant l'un a 1' autre. 

Selon un deuxieme mode de realisation de 1 ' inven- 
tion, les circuits integres sont montes face a face et 
comportent des connexions electriques internes les reliant 

15 l'un a l 1 autre. 

D'autres caracteristiques et avantages de la 
present e invention res sort iront de la description qui va 
suivre, d'une forme de realisation de 1' invent ion faite en 
regard des dessins annexes sur lesquels : 
20 - la figure 1 represente une coupe de la structure de 
1* invention selon un premier mode de realisation, 

- la figure 2 represente une coupe de la structure de 
I 9 invention selon un deuxieme mode de realisation, 

- ia figure 3 represente 1' invention avec des modes de 
25 liaison interactifs particuliers- 

A la figure 1, on voit que le dispositif de 
securite est const itue de deux circuits electroniques 
disposes l'un au-dessus de l f autre, un premier circuit a 
proteger 1, appele maitre, sous un second circuit 

30 protecteur 2 appele esc lave. II s'agit en 1 • occurrence de 
deux circuits integres 1, 2 fixes solidairement l'un a 
1' autre et relies ensemble par des moyens de liaison. Ces 
moyens de liaison doivent permettre une interaction entre 
les circuits maitre et esc lave : un echange ou une 

35 circulation de flux ou de signaux de toute nature 
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(magnetique, electrique, optique, capacitif . - . ) . lis 
peuvent concerner un simple contact electrique. De 
preference, 1 • interaction est fonction de la distance 
separant les circuits integres si bien que le moindre 
5 deplacement relatif des deux circuits la rompt ou la 
perturbe . 

A defaut de ces moyens de liaisons preferentiels ou 
de maniere complement a ire, les moyens de liaison de 
1' invention permettent une communication entre les deux 
10 circuits, consideres alors comme emetteurs et/ou 
recepteur s . 

Chaque circuit integre est constitue d'un substrat 
3, 3' d'une couche electronique 4, 4* sur le substrat et 
d»une couche de passivation 5, 5* recouvrant la couche 
15 electronique. Le substrat est un semi-conducteur 

generalement en silicium ou en Arseniure de Gallium. Cette 
couche mesure entre 100 et 300 micrometres d'epaisseur. La 
couche electronique contient des fonctionnalites ainsi 
qu'une zone memoire 6, 6» destinee a contenir les 
20 informations secretes. Cette couche mesure une dizaine de 
micrometres d'epaisseur- La couche de passivation disposee 
au-dessus de la couche electronique est en materiau inerte 
par exemple en nitrure de Silicium. Cette couche mesure 
quelques dizaines de micrometres d'epaisseur. 

Le second circuit integre a une structure 
globalement equivalente a celle du premier circuit a 
X 9 exception de ses dimensions ; la couche electronique peut 
comprendre une zone memoire qui peut ega lenient contenir une 
P a *"tie des informations secretes. Le second circuit integre 
est dispose au-dessus du premier de telle maniere qu'il 
recouvre au moins la zone memoire contenant les 
informations secretes. II peut egalement masquer des 
circuits sensibles tels que le processeur, le bus et les 
memoires et tout Element de circuit susceptible de dormer 
une information sur les secrets. 
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Les deux circuits integres sont relies solidaire- 
ment, par exemple par une couche de colle au cyanoacrylate 
7 disposee entre la couche de passivation du premier 
circuit integre et le substrat du second circuit integre. 
5 La colle peut etre choisie de maniere a ce que toute 

tentative de separation des deux circuits integres provoque 
soit 1 ■ arrachement de la couche de passivation soit 
1 1 arrachement du substrat. 

On peut egalement utiliser plusieurs zones de 

10 collage avec chacune une colle de nature differente, ou une 
combinaison de colles ou autre technique de solidarisation. 

Le premier circuit integre a une dimension plus 
importante que le second pour laisser un acces a son 
alimentation et a des connexions. Des moyens de connexion 

15 relient les deux circuits integres par l^xterieur ? a cet 
effet, des points 8 de connexion debouchent sur les 
surfaces libres 10, 10 • respectives de chaque circuit 
integre- Ces points de connexion sont relies par des fils 
de cablage 9 en or ou aluminium qui passent a l»exterieur 

20 des circuits integres. L* ensemble electronique est constaa- 
ment maintenu sous tension par une pile de sauvegarde 
exterieure (non representee) . Le composant ma it re comporte 
des points 15 de connexion avec 1 ■ environnement, par 
exemple , avec les elements const itutifs du SAM. De facon 

25 classique, les fils de cablage peuvent etre noyes dans un 
materiau d^nrobage tel que de la resine. 

La memoire du premier circuit integre, voire du 
second peut etre de type RAH. 

Selon un aspect ameliore de 1» invention, le 

30 dispositif de securite peut comprendre en outre des moyens 
d»authentification permettant d f authentif ier au moins le 
second circuit electronique. L'authentif ication peut etre 
effectuee a tout moment, de maniere periodique ou 
aleatoire. La periodicite doit etre infer ieure au temps 

35 necessaire pour effectuer une eventuelle substitution du 
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second circuit par un autre circuit de simulati n. Ces 
moyens sont de preference compris dans 1 'un et l 1 autre 
circuits integres. lis cooperent ensemble de maniere a 
assurer au mo ins 1 * authentif ication du second circuit 
5 integre. Ainsi, 1 •authentif ication peut etre soit de nature 
unilaterale, soit mutuelle. Le fonctionnement de la 
procedure d 1 authentif ication entre les deux circuits 
integres, peut reposer sur un principe traditionnel 
d'echange de signaux cryptographiques ou electronigues. 

10 Selon un aspect plus perfect ionne du dispositif, 

les moyens d 1 authentif ication peuvent fonctionner selon une 
procedure mettant en oeuvre une cle secrete de session 
dynamique connue en soi. Les moyens a mettre en oeuvre sont 
decrits par la norme americaine ANSI 9.24. 

15 Le dispositif de securite comprend des moyens de 

destruction des informations secretes en cas d v absence 
d* authentif ication ainsi qu'en cas de deconnexion ou de 
destruction de l'un des circuits electroniques. Ces moyens 
font au moins partie du premier circuit integre et sont 

20 connus en soi, ce sont par exemple, des moyens de mise a 
zero general e de la memo ire. 

A la figure 2, on voit que le dispositif de 
securite selon 1 ■ invention se presente sous une forme 
differente. II est egalement compose de deux circuits 

25 integres dont la structure de chacun est global ement 

identique a celle des circuits integres du precedent mode 
de realisation. Les memes numeros de reference sont done 
utilises pour designer les memes elements. La difference 
essentielle reside dans le fait que les deux circuits 

30 integres sont montes face a face. 

Selon ce montage, ces deux circuits integres sont 
mecaniquement solidaires entre eux par 1 1 intermediaire de 
leur couche de passivation. Le montage est fait de telle 
maniere que leurs points de connexion se trouvent en regard 

35 Is uns des autres. Les deux circuits integres peuvent etre 
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relies comme precedemment par une couche de colle a base de 
cyanoacrylate . 

Le contact electrique entre les deux circuits peut 
s'effectuer a travers une colle conductrice, par exemple 
5 colle a base d' argent. Selon un mode de realisation des 
connexions, celles-ci sont realisees par une technique de 
soudage, par exemple et de facon class ique avec des billes 
d* indium. 

La meme colle conductrice peut servir non seulement 
10 a assurer le contact ma is aussi a assurer la solidarisation 
des deux circuits integres. Ainsi, 1 ^utilisation de solvant 
pour la dissolution de la colle en vue de desolidariser les 
composants provoque egalement la rupture electrique de la 
connexion. 

15 De maniere avantageuse, on peut alimenter d'abord 

le composant esclave par I'exterieur puis faire transiter 
1 'alimentation a travers des connexions electriques 
internes entre les deux composants pour alimenter le 
composant ma it re ou inversement. 

20 Ainsi en cas de separation, 1 'alimentation du com- 

posant maitre est coupee et les informations sont perdues 
si elles sont dans une memoire RAM (memoire volatile non 
secourue) . 

On s'apercoit que ce montage est particulierement 
25 interessant dans la mesure ou les connexions entre les deux 
circuits integres sont internes, ce qui represente une 
barriere supplementaire a la violabilite du dispositif de 
secur ite - 

On peut prevoir de repartir les informations 
30 secretes dans les deux composants maitre et esclave. lis 
peuvent avoir la meme importance et etre maitre et esclave 
a tour de role. 

Le principe de protection peut etre applique a 
plusieurs circuits integres au-dela de deux. Ces derniers 
35 peuvent etre empiles les uns sur les autres. 
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II peut y avoir egalement un composant maltre 
comportant n surfaces a proteger, chaque surface etant 
recouverte par un composant esclave. 

On peut aussi avoir dans une meme couche 
5 electronique plusieurs circuits electroniques maitres 
contenant chacun une partie des informations secretes, 
protege chacun par un composant esclave. 

On comprend que le dispositif peut-etre realise a 
partir de deux circuits integres selon une technique de 
10 fabrication standardisee dite " Mult i -Chip-Module" (MCM) . Ce 
dispositif a done l'avantage d'etre economique. 

A la figure 3, on voit que les deux composants sont 
montes face a face comme a la figure 2. Les memes numeros 
de reference sont utilises pour les memes elements. Les 
15 moyens de liaison sont toutef ois de nature dif ferente des 
connexions electriques. 

Les elements de connexion representent chacun une 
bobine electromagnetique gravees sur le semi -conduct eur de 
chaque composant. Ces bobines sont placees face a face avec 
20 un couplage electromagnetique, serre de preference. Par ces 
moyens, on assure une interaction magnet ique entre les deux 
composants . 

Avantageusement, 1 • interaction peut etre utilisee 
pour vehiculer des informations de communication entre les 
25 deux composants, par exemple dans le but d f une authen- 
tification selon la procedure decrite precedemment. Elle 
peut aussi permettre une alimentation d'un composant a 
travers 1' autre. 

„ De preference, on realise a la fois une communica- 

30 tion pour la transmission de donnees et une alimentation 
par le biais des memes bobines. Les moyens a mettre en 
oeuvre, connus en soi, sont deer its dans la norme ISO (IEC 
1053 6 partie 3) . lis font intervenir deux signaux dephases 
pour !■ activation des bobines. 
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On constate que 1'emploi d'un couplage elec- 
tromagnetique tres serre ne supporte pratiquement pas de 
deplacement relatif d'un composant par rapport & 1* autre. 
En effet, le moindre deplacement provoquerait une 
5 perturbation ou une coupure de 1 • interaction des bobines 
emettrices et receptrices. De la meme facon, toute 
tentative d ■ introduction d'un element de derivation entre 
les connexions provoquerait une perturbation detectable ou 
une coupure de 1* interaction. 

10 La coupure de 1 "alimentation d'un composant 

comportant les informations dans une memo ire RAM entraine 
la perte des informations tandis que la perturbation peut 
entrainer une modification totale ou partielle du signal de 
communication et la perte de 1 • integrite d'un message entre 

15 les deux composants. 

Un des moyens pour detecter la perte de 1» integrite 
d'un message consiste a recourir a des codes correcteurs 
d'erreurs ou de detection d'erreurs classiques tels que 
code de Hamming ou CRC 16 (code polynomial). 

20 En cas de detection d'une erreur, les moyens de 

destruction sont actives pour eliminer les informations 
secretes. En cas d' utilisation d'une memo ire RAH, les 
moyens de destruction peuvent consister en des moyens de 
coupure de 1 'alimentation du composant ; par e x ample un 

25 transistor monte en serie avec le bus d' alimentation de la 
memoire . 

Les composants peuvent comporter d'autres moyens de 
liaison a la place des bobines electromagnetiques. Les 
elements 13, 13' , 14, 14' peuvent representer des capacites 
30 ou des diodes optigues pour effectuer respectivement une 
interaction capacitive ou opto-electronique. 

En cas de couplage opto-electronique, on amenage 
entre les elements 13, 13' et 14, 14' une fenetre 
transparente soit avec absence de matiere soit avec une 
35 mat i' re transparente (non representee). 
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lies moyens a mettre en oeuvre pour 1 'exploitation 
et traitement de tels signaux sont classigues. Les moyens 
d'authentification et moyens de destruction des infor- 
mations peuvent etre identiqucs aux moyens deer its aux 
5 figures 1 et 2. 

L 1 alimentation du premier circuit integre peut etre 
effectue ega lenient par couplage capacitif . 

Deux types differents de connexions peuvent etre 
utilises pour 1 'alimentation et pour la transmission de 
10 donnees, par exemple electromagnet igue pour I'une, 
capacitive pour !• autre. 

Le fonctionnement du dispositif de securite de la 
figure 1, s' effectue corame indique ci-apres. 

Le dispositif etant sous tension, par exemple, par 
15 une pile de sauvegarde exterieure, une communication 
periodique est etablie entre les deux composants par 
exemple pour realiser une procedure d • authentif ication 
mutuelle definie notamment par la norme ISO/IEC 9594-8. Si 
1 »un des deux composants rompt la communication et/ou ne 
20 s • authentif ie pas correctement, les informations secretes 
sont effacees dans le composant qui n • authentif ie pas 
1' autre composant. Eventuellement, pour eviter toute 
simulation des composants en presence, la cle secrete 
d* authentif ication est une cle de session dynamique creee a 
25 1 • initialisation du module de securite actif. 

Pour atteindre les secrets contenus dans le premier 
circuit integre, il est necessaire d^nlever au prealable 
le circuit integre situe au-dessus sans que celui-ci soit 
detruit ou modifie. Compte tenu du mode de solidarisation 
30 des deux circuits integres, par exemple, au moyen d'une 
colle cyanoacrylate, il est pratiquement impossible ou 
extremement perilleux de tenter une separation du second 
circuit sans le detruire. 

Dans 1» hypo these ou il existerait un moyen pour 
35 desolidariser le second circuit integre du premier circuit 



CID: <FR 2727226A1_L> 



-11- 



2727226 



sans sa destruction ou sa deactivation, on ponrrait alors 
recourir au mode de realisation du dispositif de securite 
selon son deuxieme mode de realisation (fig. 2 ou fig. 3). 

Le fonctionnement du dispositif des figures 1 et 2 
5 s'effectue comme indigue ci-apres. 

Si les connexions electrigues sont assurees en 
interne par simple contact, collage ou soudure par le 
recours a des billes d' indium, il devient alors impossible 
de decoupler les deux circuits integres sans rompre le 
10 contact. 

Si les connexions sont rea Usees de maniere 
electro-magnetigue, capacitive, optique, le simple 
mouvement relatif d»un composant par rapport a !• autre 
provoque une perturbation de 1 • interaction qui est traitee 
comme une rupture de connexion. 

Si les connexions servent a assurer 1 'alimentation 
des circuits integres, la rupture de ces dernieres provoque 
I'effacement des informations qui seraient contenues dans 
une memoire volatile RAM. 

Toute tentative de decouplage est rendue d'autant 
plus difficile que les connexions sont proches du milieu du 
dispositif de securite, c'est-a-dire, proches du milieu des 
surfaces de contact respectives des composants maitre et 
esclave. 

Le fonctionnement des moyens d 'authentif ication du 
dispositif de securite selon le second mode de realisation 
est identique a celui du premier mode. 

Si des connexions electriques servent a assurer la 
communication selon une procedure d'authentif ication, la 
rupture provoque une absence d 'authent if ication dans la 
periode imposee et les moyens de destruction des 
informations sont actives, par exemple pour mettre la 
memoire au a erne niveau. 

Dans le cas prefere ou l'on utilise une memoire 
RAM, pour contenir les informations secretes, les moyens de 
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destruction sont des moyens de coupure de 1 'alimentation du 
composant ; 

Dans tous les cas de figure, selon ce second mode 
de realisation, le deplacement relatif des circuits l'un 
par rapport a 1' autre est sanctionne par la perte des 
informations secretes. 
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REVENDICATIONS 

. Dispositif de securite contenant des informations 
secretes et destine a empecher 1'acces a ces 
informations par des moyens d 1 exploration externes, du 
type comprenant un circuit integre ayant une zone 
memoire recevant lesdites informations et des moyens de 
protection recouvrant solidairement au moins ladite 
zone memoire de man i ere a former obstacle a une 
exploration caracterise en ce que lesdits moyens de 
protections sont constitues par au moins un second 
circuit integre (2), et en ce qu'il comprend en outre 
des moyens de liaison interactifs (9, 9") entre les 
deux circuits integres, et des moyens de destruction 
des informations secretes en cas de rupture ou 
perturbation de leur liaison. 

Dispositif selon la revendication 1, caracterise en ce 
qu'il comprend des moyens d*authentif ication permettant 
d'authentifier au moins le second circuit integre. 

Dispositif de securite selon la revendication 2, 
caracterise en ce que les moyens d 1 authent if ication 
fonctionnent selon une procedure mettant en oeuvre une 
cle secrete de session dynamique . 

Dispositif de securite selon I'une des revendications 1 
a 3, caracterise en ce que les circuits integres sont 
montes l'un derriere 1' autre et comportent des 
connexions electriques (9) externes les reliant l'un a 
1" autre. 

Dispositif de securite selon l«une des revendications 1 
a 3, caracterise en ce que les circuits integres sont 
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montes face a face et comportent des connexions 
electriques (9») internes les reliant I'un a l f autre. 

6. Dispositif de securite selon la revendication 5, 
caracterise en ce que les circuits integres ont leurs 
points de connexion electrique (8, 8») disposes face a 
face. 

7. Dispositif de securite selon la revendication 6, 
caracterise en ce que la connexion des circuits 
integres est realisee par soudure. 



8. Dispositif de securite selon la revendication 6, 
caracterise en ce que la connexion est realisee par 

15 l • intennediaire d'une colle conductrice. 

9. Dispositif de securite selon l'une des revendications 1 
a 3, caracterise en ce que les circuits integres sont 
montes face a face et comportent des connexions 
electromagnetiques ou capacitives internes. 



20 



10. Dispositif de securite selon la revendication 9, 
caracterise en ce que les memes connexions assurent 
1' alimentation du premier circuit integre et la 

25 transmission de donnees. 

11. Dispositif de securite selon les revendications 5 a 10, 
caracterise en ce que les points de connexion des 
circuits integres sont situes dans une zone centrale de 
leur face de contact respective. 



30 



12- Dispositif de securite selon I'une quelconque des 

revendications precedentes, caracterise en ce que les 
circuits integres sont fixes I'un a !• autre par 
35 1 1 intennediaire d'une couche de colle (7). 
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13. Dispositif de securite selon les revendications 8 et 
12, caracterise en ce que la fixation des circuits 
integres alnsi que la connexion electrique est assuree 

5 par une colle conductrice. 

14. Dispositif de securite selon l'une quelconque des 
revendications precedentes, caracterise en ce que le 
deuxieme circuit integre comporte egalement une zone 

10 memoire (6 1 ) et en ce que les circuits electroniques 

disposent de moyens d 1 authentif ication mutuelle. 

15. Dispositif de securite selon I'une quelconque des 
revendications precedentes, caracterise en ce que l'un 

15 des circuits integres au mo ins comporte une memo ire RAM 

dans laquelle se trouvent des informations secretes. 

16. Dispositif de securite selon l , une quelconque des 
revendications precedentes, caracterise en ce que les 

20 circuits integres se recouvrent mutuel lenient leurs 

elements de circuit (6, 6«) susceptibles de dormer une 
information sur les secrets . 

17. Dispositif de securite selon la revendication 5 r 

25 caracterise en ce que 1 • alimentation du premier ou 

second circuit integre s«effectue a travers des 
connexions electriques internes (9»)« 
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